home / blog
2026-09-23 · critica
GitLab: esecuzione di codice da utente autenticato in CI/CD (CVE-2026-93577)
Esecuzione di codice da utente autenticato con accesso alla pipeline, CVSS 9,9. Correzioni nelle release del 23 settembre 2026.
Il 23 settembre 2026 GitLab ha corretto CVE-2026-93577, una vulnerabilità con punteggio CVSS v3.1 di 9,9 che permette a un utente autenticato di eseguire codice sul server. Il vettore è un'espressione regolare costruita ad arte nella configurazione CI/CD. Nello stesso avviso è corretto anche il companion CVE-2026-89078, un double free con la stessa valutazione.
Il requisito è l'autenticazione con accesso alla pipeline. Per questo il rischio è più alto dove molti utenti possono modificare la configurazione CI/CD, per esempio in istanze con progetti condivisi tra team.
Aggiornare alla release corretta del proprio ramo (19.4.1, 19.3.3 o 19.2.7). Nel frattempo, ridurre i permessi di modifica alla pipeline e controllare la cronologia delle modifiche alle configurazioni CI/CD.
In sintesi
- Cosa
- Esecuzione di codice sul server GitLab da parte di un utente autenticato che può modificare la configurazione CI/CD, tramite un'espressione regolare costruita ad arte.
- Gravità
- CVSS v3.1 9,9 (critica), secondo NVD. Il companion CVE-2026-89078 (double free) è valutato allo stesso modo.
- Causa
- Overflow di interi (CWE-190) nella compilazione di un'espressione regolare nella configurazione CI/CD.
- Versioni interessate
- Dalla 19.2 alla 19.2.7 esclusa, dalla 19.3 alla 19.3.3 esclusa, dalla 19.4 alla 19.4.1 esclusa, secondo NVD.
- Correzione
- GitLab 19.4.1, 19.3.3 e 19.2.7, rilasciate il 23 settembre 2026.
- Azione
- Aggiornare. Limitare chi può modificare la configurazione della pipeline e rivedere i permessi degli utenti con accesso al progetto.